Tailscale випустила версію 1.104.4 із виправленнями кількох проблем у вбудованому сервісі Tailscale SSH. Компанія радить оновитися всім, хто використовує його для доступу до серверів, і переглянути правила, що визначають, кому та з яких пристроїв дозволено підключатися.
Tailscale SSH дає змогу керувати SSH-доступом через облікові дані та політики tailnet, приватної мережі Tailscale. Адміністратор може визначити, хто підключається до конкретної машини, від імені якого локального користувача працює сеанс і чи потрібна додаткова перевірка перед входом.
Помилки виникали після дозволеного підключення
Проблеми не стосувалися перевірки особи користувача чи самих правил доступу. За даними Tailscale, для використання вразливостей зловмисник уже мав контролювати авторизований пристрій у tailnet, а політика мала прямо дозволяти йому SSH-підключення до цільової машини.
За певних умов така вже дозволена сесія могла виконувати дії поза правами локального Unix-користувача, вказаного в політиці. Один зі сценаріїв пов’язаний із переспрямуванням з’єднань через SSH. Тобто помилки могли послабити межу прав усередині наявного доступу, а не відкрити сторонній людині вхід на довільний сервер.
Компанія також зазначає, що описані проблеми не є саморозповсюджуваним шкідливим кодом. Можливе переміщення між машинами обмежувалося лише тими SSH-з’єднаннями, які вже дозволяла політика tailnet.
Оновлення та перевірка політик
Tailscale опублікувала чотири бюлетені безпеки: TS-2026-014, TS-2026-015, TS-2026-016 і TS-2026-017. Виправлення для підтверджених проблем доступні у версії 1.104.4.
Після оновлення компанія радить переглянути політики Tailscale SSH: залишити доступ лише потрібним користувачам і пристроям, а для чутливих серверів розглянути режим додаткової перевірки SSH перед наданням доступу. Це не замінює патч, але зменшує кількість пристроїв, з яких узагалі можливе адміністративне підключення.
Окремо Tailscale повідомила про п’ять знахідок у функціях Serve і Funnel: три помилки також виправлено у 1.104.4, а дві інші компанія назвала штатною поведінкою. Проблема в Conn25 стосується передпродуктової версії app connectors, яку ще не випустили. Стабільні app connectors, за заявою компанії, не зачеплені.